hsiung.博格 ERP軟體

測試微軟SQL Injection漏洞掃瞄工具
 
 
微軟日前推出了可以掃瞄ASP原始碼是否有SQL Injection漏洞的工具，我的第一個念頭是，They really did it?

先連結.
SQL code 不同伺服器資料庫之間的資料操作
 

SQL Server 2005 - 探討資料表的類型 

Microsoft® SQL Server™ 的資料表可分為三種類型，它們分別是使用者資料表、暫存資料表與系統資料表。相信大家對使用者資料表絕對不會陌生，因為本章至目前為止，指導您如何建立與維護的資料表皆是使用者資料表，顯而易見地，由使用者自行建立，以便用來永久儲存特定性質之資料記錄的資料表便是使用者資料表。 

至於暫存資料表與系統資料表則有其特定的功能與用途，本節筆者針對此一部分加以說明，以便讓大家對 Microsoft® SQL Server™ 的資料表有更完整且全面的認識。 

暫存資料表

顧名思義，暫存資料表就是暫存資料的儲存處，於系統執行過程中，我們經常需要執行一些複雜的運算與處理，在此期間不免會產生一些階段性與過渡性的資料，這些資料在整個處理作業完成後便不再需要而必須刪除，像此類資料就非常適合存放於暫存資料表。 

暫存資料表亦是由開發者自行建立，特別的是，不管您於任何資料庫中建立暫存資料表，暫存資料表皆固定存放於系統資料庫 tempdb中，而且一旦不使用會自動被刪除。您可別以為針對暫存資料表所做的異動不會被記錄於記錄檔（Log File）中，事實上暫存資料表僅會記錄最少量的記錄，以便在需要時能夠將異動交易復原（RollBack）。然而由於每當SQL Server重新啟動時就會重新建立一個全新的 tempdb，因此當系統重新啟動時 tempdb 的記錄檔不會被用來進行復原處理。同樣地，tempdb也不會自備份中回存，因此tempdb的記錄檔於回存資料庫時是完全不需要的。 

於 Microsoft® SQL Server™中，暫存資料表可區分為下列兩種類型： 

r 區域性暫存資料表
不論目前哪一個資料庫是作用資料庫，只要您建立資料表時，以井字號（#）作為其名稱的第一個字元，則此資料表將成為一個存放在 tempdb 中的區域性暫存資料表（例如：CREATE TABLE #MyTable. . .）。區域性暫存資料表只有建立它之連線的使用者能夠存取它，而且一旦此位使用者切斷與 SQL Server 的連線，區域性暫存資料表會自動被刪除，當然，此位使用者也可以在連線期間以 DROP TABLE 陳述式來刪除他所建立的區域性暫存資料表。
由於區域性暫存資料表的適用範圍僅限於建立它的連線，因此您不需擔心其名稱會與其他連線所採用的名稱相同。

r 全域性暫存資料表
不論目前哪一個資料庫是作用資料庫，只要您所建立之資料表的名稱是以兩個井字號（##）開頭，則此資料表將成為一個存放在 tempdb 中的全域性暫存資料表（例如：CREATE TABLE ##MyTable. . .）。全域性暫存資料表一旦被建立，後續連線至此 SQL Server 的任何使用者都能夠存取它（包括讀取與寫入），而且不需要特定的權限。
當建立全域性暫存資料表的使用者切斷與 SQL Server 的連線，SQL Server 會檢查是否有其他使用者正在使用此全域性暫存資料表，如果沒有，便立即將全域性暫存資料表刪除；如果有，SQL Server 會讓這些正在存取中的作業繼續進行，但是不允許任何使用者再去存取全域性暫存資料表，等到所有未完成的作業執行完畢後，全域性暫存資料表會自動被刪除。
由於全域性暫存資料表能夠被所有的連線使用，因此您必須注意其名稱不能與其他連線所採用的名稱相同。 

其實只要您擁有足夠的權限，也可以直接在系統資料庫 tempdb 中建立資料表，而且依此法所建立的資料表並不會在您切斷與 SQL Server 的連線後自動被刪除，除非您以 DROP TABLE 陳述式將它刪除或是 SQL Server 重新啟動，否則它是不會被刪除的。以下面的陳述式而言，表示在系統資料庫 tempdb 中建立一個名為 TempTable 的暫存資料表： 

USE tempdb;
CREATE TABLE TempTable (name varchar(16));
－或－
CREATE TABLE tempdb.dbo.TempTable (name varchar(16)) 

有些人說，條件約束（Constraints）無法使用於暫存資料表，此一說法並不完全正確。事實上所有的條件約束都可使用於直接在系統資料庫 tempdb 中建立的暫存資料表（亦即名稱並非以 # 或 ## 開頭者），而除了 FOREIGN KEY 以外的所有條件約束也都能夠使用於區域性暫存資料表（名稱以 # 開頭者）與全域性暫存資料表（名稱以 ## 開頭者）。 

附註：
關於條件約束的說明，請參閱「SQL Server 2005 完全實戰」一書之第六章。 

請注意：
在此要特別提醒大家，於 SQL Server 中應儘可能使用 table 資料型別的變數來取代暫存資料表，其好處請參閱「SQL Server 2005 完全實戰」一書的說明。 

系統資料表 

系統資料表是 Microsoft® SQL Server™ 內建的資料表，其中存放著 Microsoft® SQL Server™ 及其元件所使用到的相關系統資訊，說明如下：

 

r  系統資料表會存放關於系統與資料庫中之物件的資訊，我們通常將此類資訊稱之為「中繼資料」（Metadata）。
中繼資料係泛指下列資訊： 

Ø 與資料之特性相關的資訊，例如欄位的資料型別、長度．．．等等。

Ø 與資料之結構相關的資訊。

Ø 用以指定物件之設計方式的資訊。

 

r 每一個資料庫（包括 master 在內）都會內含一組用以儲存與此資料庫相關之中繼資料的系統資料表，SQL Server 稱此組系統資料表為「資料庫目錄」（Database Catalog）。

r  在系統資料庫 master 中，有一組系統資料表用以儲存關於整個系統與其他所有資料庫的中繼資料，SQL Server 稱此組系統資料表為「系統目錄」（System Catalog）。
系統目錄只會存在於系統資料庫 master 中。 

系統資料表	所屬的資料庫	功能用途
syslogins	master	能夠連線至SQL Server的登入帳號即是記錄於系統資料表sysxlogins中，亦即syslogins中的每一筆資料記錄即代表一個能夠連結至SQL Server的登入帳號。如果您需要去存取syslogins中的資訊，請透過系統檢視表sys.server_principals來完成。
sysmessages	master	系統資料表sysmessages中的每一筆資料記錄即代表SQL Server能夠傳回的系統錯誤或警告。如果您需要去存取syslogins中的資訊，應透過系統檢視表sys.messages來完成。
sysdatabases	master	系統資料表sysdatabases中的每一筆資料記錄即代表SQL Server中的每一個資料庫。如果您需要去存取syslogins中的資訊，應透過系統檢視表sys.databases來完成。
sysusers	所有的資料庫	系統資料表sysusers中的每一筆資料記錄，即代表所屬資料庫中的每一個Windows使用者、Windows群組、SQL Server使用者或SQL Server角色。如果您需要去存取syslogins中的資訊，請透過系統檢視表sys.database_principals來完成。
sysobjects	所有的資料庫	系統資料表sysobjects中的每一筆資料記錄，即代表所屬資料庫中的每一個物件。如果您需要去存取syslogins中的資訊，應透過系統檢視表sys.objects來完成。

圖表1

所有系統資料表皆以 sys 作為其名稱的開頭（例如：systypes），筆者特於圖表1列出一些經常被使用到的系統資料表及其功能用途（SQL Server 中的系統資料表多達數十個，關於各個系統資料表的用途請參閱軟體所附的線上叢書）。 

SQL Server 2005 改用「系統檢視表」（System Views）提供伺服器上每個資料庫中之系統目錄的中繼資料，為了讓大家可以望字生義，所有的系統檢視表皆以 sys. 作為其名稱的開頭（例如：sys.types），因此我們只要透過 SELECT陳述式並選用合適的系統檢視表就能查詢到系統資料表相關的中繼資料。比方說，我們要查詢目前使用的資料庫中，系統資料類型和使用者自訂資料類型的詳細資訊有哪些，就可以使用下列的命令描述來得知： 

SELECT * FROM sys.types 

相信您可以瞭解，系統資料表內含許多關於系統、資料庫以及資料庫中之物件的有用資訊，或許您的應用程式正需要使用這些資訊。但是請注意，如果您的應用程式需要自系統資料表取得相關資訊，絕對不可以直接使使用 SELECT 陳述式去查詢系統資料表，而必須透過下列元件來取得：

查詢速度慢的原因很多，常見如下幾種
1、沒有索引或者沒有用到索引(這是查詢慢最常見的問題，是程式設計的缺陷)
2、I/O吞吐量小，形成了瓶頸效應。
3、沒有創建計算列導致查詢不優化。
4、記憶體不足
5、網路速度慢
6、查詢出的資料量過大（可以採用多次查詢，其他的方法降低資料量）
7、鎖或者鎖死(這也是查詢慢最常見的問題，是程式設計的缺陷)
8、sp_lock,sp_who,活動的用戶查看,原因是讀寫競爭資源。
9、返回了不必要的行和列
10、查詢語句不好，沒有優化

 
本文將列出可供 OLE DB Provider for SQL Server 在隨附於 Visual Studio 6.0， 版版本 7.01.0502 初始化 (ActiveX Data Objects ] [ ADO 連線) 屬性。 Visual Studio 文件列出了 SQLOLEDB Provider， 初始設定屬性時部份的屬性描述不正確， 且文件未指定其他資訊如描述名稱的屬性。

其他相關資訊

名稱的屬性 (Property) 是重要讓您瞭解如何使用 ADO 連接字串中的， 來設定屬性 (Property。
會 SQLOLEDB 將 OLE DB 初始設定和授權屬性解釋為：

 ADO Connection string name/PropertyID Description
-------------------------------------- -----------------------------
"Data Source" The SQL Server to connect to.
DBPROP_INIT_DATASOURCE
"Initial Catalog" The SQL Server database.
DBPROP_INIT_CATALOG
"Integrated Security" A string containing the name
DBPROP_AUTH_INTEGRATED of the authentication
service. The default value
for this is VT_EMPTY.
This can be set to "SSPI" or
to a null BSTR pointer for
Windows NT Integrated
security (Secured
Support Provider Interface).
If SQL security is desired,
the "Password" and "User ID"
properties should be set
instead.
"Locale Identifier" SQLOLEDB validates the locale
DBPROP_INIT_LCID ID and returns an error if
the locale ID is not
supported or is not installed
on the client computer.
"Password" The password assigned to a
DBPROP_AUTH_PASSWORD SQL Server login. This
property is used when SQL
Server Authentication Mode
is selected for authorizing
access to a SQL Server
database.
"Persist Security Info" SQLOLEDB persists
DBPROP_AUTH_PERSIST_SENSITIVE_AUTHINFO authentication values,
including an image of a
password, if requested to do
so. No encryption is
provided.
"Prompt" SQLOLEDB supports all
DBPROP_INIT_PROMPT prompting modes for data
source initialization.
SQLOLEDB uses
DBPROMPT_NOPROMPT
as its default
setting for the property.
DBPROMPT_PROMPT (1)
Always prompt the user for
intialization information.
DBPROMPT_COMPLETE (2)
Prompt the user only if more
information is needed.
DBPROMPT_COMPLETEREQUIRED (3)
Prompt the user only if more
information is needed. Do
not allow the user to enter
optional information.
DBPROMPT_NOPROMPT (4)
Do not prompt the user.
"User ID" A SQL Server login. This
DBPROP_AUTH_USERID property is used when SQL
Server Authentication
Mode is selected for
authorizing access to a SQL
Server database.
"Window Handle" A window handle from the
DBPROP_INIT_HWND calling application. A valid
window handle is required for
the initialization dialog box
displayed when prompting for
initialization properties is
allowed.
"Connect Timeout" SQLOLEDB returns an error on
DBPROP_INIT_TIMEOUT initialization if a
connection to the SQL Server
cannot be established within
the number of seconds
specified. Approximately ten
seconds is the lower limit.

下列屬性是擴充由 SQLOLEDB 提供者定義的屬性。 所有的屬性都是讀取 / 寫入。 屬性 ID 定義於 Sqloledb.h 檔案。 請參閱 〈 參考 〉 一節如需如何取得標頭檔 (Header File) 的資訊。

 ADO Connection String Name/PropertyID Description
------------------------------------- ------------------------------
"Application Name" The client application name.
SSPROP_INIT_APPNAME
Type: VT_BSTR
"Auto Translate" VARIANT_TRUE
SSPROP_INIT_AUTOTRANSLATE SQLOLEDB performs OEM/ANSI
Type: VT_BOOL character conversion when
multi-byte character strings
are retrieved from, or sent
to the SQL Server.
VARIANT_FALSE
SQLOLEDB does not perform
OEM/ANSI character conversion
on multi-byte character string
data.
"Current Languge" A SQL Server language name.
NOTE: Note the incorrect Identifies the language used
spelling. for system message selection
SSPROP_INIT_CURRENTLANGUAGE and formatting. The language
Type: VT_BSTR must be installed on the SQL
Server or data source
initialization fails.
"Network Address" The network address of the SQL
SSPROP_INIT_NETWORKADDRESS Server specified by the
Type: VT_BSTR DBPROP_INIT_DATASOURCE
property.
"Network Library" The name of the Net-Library
SSPROP_INIT_NETWORKLIBRARY (DLL) used to communicate with
Type: VT_BSTR the SQL Server. The name should
not include the path or the
.dll file name extension. The
default is provided by the SQL
Server client configuration.
"Packet Size" A network packet size in bytes.
SSPROP_INIT_PACKETSIZE The packet size property value
Type: VT_I4 must be between 512 and 32767.
The default SQLOLEDB network
packet size is 4096.
"Use Procedure for Prepare" SQL Server stored procedure
SSPROP_INIT_USEPROCFORPREP use. Defines the use of SQL
Type: VT_I4 Server temporary stored
procedures to support the
ICommandPrepare interface.
SSPROPVAL_USEPROCFORPREP_OFF (0)
A temporary stored procedure is
not created when a command is
prepared.
SSPROPVAL_USEPROCFORPREP_ON (1)
Default
A temporary stored procedure is
created when a command is
prepared. The temporary stored
procedures are dropped when the
session is released.
SSPROPVAL_ USEPROCFORPREP_ON_DROP (2)
A temporary stored procedure is
created when a command is
prepared. The procedure is
dropped when the command is
unprepared with
ICommandPrepare::Unprepare, or
when a new command is specified
for the command object with
ICommandText::SetCommandText, or
when all application references
to the command are released.
"Workstation ID" A string identifying the
SSPROP_INIT_WSID workstation.
Type: VT_BSTR
"Initial File Name" This property is for future use
SSPROP_INIT_FILENAME with SQL Server 7.0 database
Type: VT_BSTR files.

一、適合讀者對象：資料庫開發程式師，資料庫的資料量很多，涉及到對SP（存儲過程）的優化的專案開發人員，對資料庫有濃厚興趣的人。 　
　　二、介紹：在資料庫的開發過程中，經常會遇到複雜的業務邏輯和對資料庫的操作，這個時候就會用SP來封裝資料庫操作。如果項目的SP較多，書寫又沒有一定的規範，將會影響以後的系統維護困難和大SP邏輯的難以理解，另外如果資料庫的資料量大或者專案對SP的性能要求很，就會遇到優化的問題，否則速度有可能很慢，經過親身經驗，一個經過優化過的SP要比一個性能差的SP的效率甚至高幾百倍。 　
　　三、內容： 　
　　1、開發人員如果用到其他庫的Table或View，務必在當前庫中建立View來實現跨庫操作，最好不要直接使用“databse.dbo.table_name”，因為sp_depends不能顯示出該SP所使用的跨庫table或view，不方便校驗。　　
　　2、開發人員在提交SP前，必須已經使用set showplan on分析過查詢計畫，做過自身的查詢優化檢查。 　
　　3、高程式運行效率，優化應用程式，在SP編寫過程中應該注意以下幾點：　　
　　a)SQL的使用規範：
　　　i.　儘量避免大事務操作，慎用holdlock子句，提高系統併發能力。
　　　ii.　儘量避免反復訪問同一張或幾張表，尤其是資料量較大的表，可以考慮先根據條件提取資料到臨時表中，然後再做連接。
　　　iii.　儘量避免使用游標，因為游標的效率較差，如果游標操作的資料超過1萬行，那麼就應該改寫；如果使用了游標，就要儘量避免在游標迴圈中再進行表連接的操作。
　　　iv.　注意where字句寫法，必須考慮語句順序，應該根據索引順序、範圍大小來確定條件子句的前後順序，盡可能的讓欄位順序與索引順序相一致，範圍從大到小。
　　　v.　不要在where子句中的“=”左邊進行函數、算術運算或其他運算式運算，否則系統將可能無法正確使用索引。
　　　vi.　儘量使用exists代替select count(1)來判斷是否存在記錄，count函數只有在統計表中所有行數時使用，而且count(1)比count(*)更有效率。
　　　vii.　儘量使用“>=”，不要使用“>”。
　　　viii.　注意一些or子句和union子句之間的替換
　　　ix.　注意表之間連接的資料類型，避免不同類型資料之間的連接。
　　　x.　注意存儲過程中參數和資料類型的關係。
　　　xi.　注意insert、update操作的資料量，防止與其他應用衝突。如果資料量超過200個資料頁面（400k），那麼系統將會進行鎖升級，頁級鎖會升級成表級鎖。 　　
　　b)索引的使用規範：
　　　i.　索引的創建要與應用結合考慮，建議大的OLTP表不要超過6個索引。
　　　ii.　盡可能的使用索引欄位作為查詢條件，尤其是聚簇索引，必要時可以通過index index_name來強制指定索引
　　　iii.　避免對大表查詢時進行table scan，必要時考慮新建索引。
　　　iv.　在使用索引欄位作為條件時，如果該索引是聯合索引，那麼必須使用到該索引中的第一個欄位作為條件時才能保證系統使用該索引，否則該索引將不會被使用。
　　　v.　要注意索引的維護，週期性重建索引，重新編譯存儲過程。　　
　　c)tempdb的使用規範：
　　　i.　儘量避免使用distinct、order by、group by、having、join、cumpute，因為這些語句會加重tempdb的負擔。
　　　ii.　避免頻繁創建和刪除臨時表，減少系統表資源的消耗。
　　　iii.　在新建臨時表時，如果一次性插入資料量很大，那麼可以使用select into代替create table，避免log，提高速度；如果資料量不大，為了緩和系統表的資源，建議先create table，然後insert。
　　　iv.　如果臨時表的資料量較大，需要建立索引，那麼應該將創建臨時表和建立索引的過程放在單獨一個子存儲過程中，這樣才能保證系統能夠很好的使用到該臨時表的索引。
　　　 v.　如果使用到了臨時表，在存儲過程的最後務必將所有的臨時表顯式刪除，先truncate table，然後drop table，這樣可以避免系統表的較長時間鎖定。
　　　 vi.　慎用大的臨時表與其他大表的連接查詢和修改，減低系統表負擔，因為這種操作會在一條語句中多次使用tempdb的系統表。　　
　　d)合理的演算法使用：　　
　　根據上面已提到的SQL優化技術和ASE Tuning手冊中的SQL優化內容,結合實際應用,採用多種演算法進行比較,以獲得消耗資源最少、效率最高的方法。具體可用ASE調優命令：set statistics io on, set statistics time on , set showplan on 等。

為了避免意外丟失/損壞辛苦創建的Stored Procedures，或者想恢復到以前版本的Stored Procedures，這樣提供了一個有效方法，可以自動將指定資料庫 中的Stored Procedures進行備份 。

 
將SQL Server資料 表駐留記憶體 是SQL Server 提供的一項功能，在一般小型系統的開發過程中估計很少會涉及到。這裏整理了相關文檔資料，演示如何把SQL Server中一個表的所有資料都放入記憶體中，實現記憶體資料庫 ，提高即時性。

 
if exists (select * from dbo.sysobjects where id = object_id(N'[dbo].[s_LoadPackageToServer]') and OBJECTPROPERTY(id, N'IsProcedure') = 1)
drop procedure [dbo].[s_LoadPackageToServer]
GO

最近我在為公司的框架程式（以資料應用為導向的應用體系）做資料管理模組 ，這個模組的需求比較簡單 ：備份 、恢復和清理日誌。我公司的軟體基本上以C/S為基本架構，所以資料管理模組中兩個主要的功能‘備份與恢復’都可能會在Client端操作，備份與恢復’的檔也都有可能存儲 在client端，因而這個資料管理模組就必須能夠實現在遠端備份與恢復資料 庫。